CVE-2026-93352 in Laravel-Mediable
要約
〜によって VulDB • 2026年09月24日
Laravel-Mediable 7.0.0から7.0.2未満には、CVE-2026-49972に対する不完全なパッチが含まれています。これは、config/medifiable.phpのforbidden_extensionsブロックリストに.pht拡張子が含まれていないためです。CVE-2026-49972に対処するために導入されたブロックリストにはphptは含まれていますが、DebianおよびUbuntuシステムにおいてデフォルトのFilesMatchディレクティブによってPHPとして実行されるphtが省略されています。攻撃者はMediaUploader::verifyExtension()とFile::sanitizeFileName()でのすべての検証を通過する.phtファイルをアップロードでき、これはブロックリストに存在しないためです。その結果、ファイルはディスク上に書き込まれ、リクエスト時にPHPとして実行され、Webサーバープロセスの権限でリモートコード実行（RCE）が可能になります。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.